DNS w Active Directory – dlaczego domena Windows nie może działać bez poprawnej konfiguracji DNS

Wiele osób rozpoczynających pracę z Active Directory traktuje DNS jako zwykłą usługę tłumaczącą nazwy komputerów na adresy IP.

To jednak tylko część prawdy.

W środowisku Windows Server DNS nie jest dodatkiem do Active Directory. Jest jednym z jego fundamentów.

Można powiedzieć, że:

Active Directory przechowuje informacje o użytkownikach, komputerach i uprawnieniach, ale DNS mówi komputerom, gdzie tych usług szukać.

Jeżeli DNS działa nieprawidłowo, pojawiają się typowe problemy:

• użytkownicy nie mogą się logować do domeny,
• komputery nie odnajdują kontrolera domeny,
• Kerberos przełącza się na NTLM,
• zasoby sieciowe przestają działać,
• replikacja Active Directory zaczyna generować błędy.

Dlatego administrator Active Directory powinien znać DNS nie mniej niż samą usługę katalogową.

Dlaczego Active Directory potrzebuje DNS?

W starszych sieciach Windows NT systemy często korzystały z mechanizmu WINS (Windows Internet Name Service).

Problem polegał na tym, że był on ograniczony i nie pasował do dużych, rozproszonych środowisk.

Wraz z pojawieniem się Active Directory Microsoft oparł lokalizację usług na DNS.

Kontroler domeny nie jest wyszukiwany po nazwie komputera.

Klient musi znaleźć konkretne usługi.

Przykład:

Komputer użytkownika chce się zalogować.

Nie pyta:

„Gdzie jest komputer DC01?”

Pyta:

„Gdzie znajduje się kontroler domeny dla domeny firma.local?”

Do tego służą rekordy DNS.

Jak komputer znajduje kontroler domeny?

Proces logowania domenowego wygląda mniej więcej tak:

1. Użytkownik wpisuje login i hasło.
2. Komputer musi znaleźć kontroler domeny.
3. Wysyła zapytanie DNS.
4. Otrzymuje adres odpowiedniego DC.
5. Rozpoczyna komunikację LDAP, Kerberos i SMB.

Przykład zapytania:

_ldap._tcp.dc._msdcs.firma.local

DNS zwraca:

dc01.firma.local
10.10.10.5

Komputer wie, gdzie kierować dalszą komunikację.

Active Directory i rekordy SRV

Najważniejszym typem rekordów DNS dla AD są:

SRV (Service Locator)

Nie wskazują one zwykłego adresu IP.

Informują:

• jaka usługa istnieje,
• gdzie działa,
• na jakim porcie.

Przykład:

_ldap._tcp.firma.local

oznacza:

znajdź usługę LDAP TCP dla domeny firma.local.

Najważniejsze rekordy SRV w Active Directory

LDAP

_ldap._tcp.dc._msdcs.domain.local

Służy do odnajdywania kontrolerów domeny.

Kerberos

_kerberos._tcp.domain.local

Pozwala klientom znaleźć usługę uwierzytelniania.

Global Catalog

_gc._tcp.domain.local

Wskazuje serwery pełniące rolę katalogu globalnego.

PDC Emulator

_ldap._tcp.pdc._msdcs.domain.local

Wskazuje kontroler domeny posiadający rolę PDC Emulator.

Integracja DNS z Active Directory

W środowisku Windows Server najczęściej stosuje się:

Active Directory Integrated DNS

czyli DNS zintegrowany z usługą katalogową.

Oznacza to, że rekordy DNS są przechowywane w bazie Active Directory i replikowane razem z nią.

Zamiast klasycznego pliku:

zonefile.db

informacje znajdują się w katalogu AD.

Zalety Active Directory Integrated DNS

Replikacja przez Active Directory

Rekordy DNS mogą być automatycznie kopiowane między kontrolerami domeny.

Bezpieczeństwo

Można wykorzystać:

• ACL,
• uwierzytelnianie Kerberos,
• kontrolę dostępu.

Dynamiczne aktualizacje

Komputery domenowe mogą automatycznie rejestrować swoje rekordy.

Przykład:

Laptop użytkownika otrzymuje adres:

10.10.20.50

Automatycznie tworzy rekord:

laptop01.firma.local

Strefy DNS w Active Directory

Typowa domena posiada kilka stref.

Przykład:

firma.local

jest strefą wyszukiwania do przodu.

Zawiera rekordy:

dc01.firma.local → 10.10.10.5
serwer01.firma.local → 10.10.10.20

Forward Lookup Zone

Najczęściej używana strefa.

Tłumaczy:

nazwa → IP

Przykład:

fileserver.firma.local

na:

192.168.1.20

Reverse Lookup Zone

Działa odwrotnie:

IP → nazwa

Przykład:

192.168.1.20

zwraca:

fileserver.firma.local

Nie jest wymagana do działania AD, ale bardzo pomaga w diagnostyce.

Rekordy DNS tworzone przez kontrolery domeny

Po instalacji Active Directory kontroler domeny automatycznie rejestruje wiele rekordów.

Przykładowo:

A Record

dc01.firma.local

wskazuje adres IP kontrolera.

CNAME

Alias nazwy.

SRV

Lokalizacja usług:

• LDAP,
• Kerberos,
• GC.

SOA

Informacje o właścicielu strefy.

Dynamic DNS w Active Directory

W klasycznym DNS administrator ręcznie tworzy rekordy.

W domenie Windows większość odbywa się automatycznie.

Komputer po dołączeniu do domeny:

1. otrzymuje nazwę,
2. uzyskuje adres IP,
3. rejestruje rekord DNS.

Przykład:

PC-015.firma.local

Secure Dynamic Updates

Automatyczne aktualizacje DNS mogą być zabezpieczone.

Opcja:

Secure only

oznacza:

tylko uwierzytelnione komputery domenowe mogą zmieniać rekordy.

To chroni przed sytuacją:

Atakujący tworzy fałszywy rekord:

dc01.firma.local

i przekierowuje użytkowników do własnego serwera.

DNS a Kerberos

Kerberos wymaga poprawnej rozpoznawalności usług.

Przykład:

Użytkownik chce wejść na:

\\fileserver.firma.local

System szuka:

cifs/fileserver.firma.local

w Active Directory.

Jeżeli DNS jest błędny:

• SPN może nie zostać znaleziony,
• Kerberos zawiedzie,
• system użyje NTLM.

Dlatego wiele problemów z Kerberos zaczyna się od DNS.

Dlaczego nie powinno się używać publicznego DNS w domenie?

Częsty błąd:

Na komputerach domenowych ustawione:

8.8.8.8
1.1.1.1

zamiast:

10.0.0.10

czyli lokalnego DNS na kontrolerze domeny.

Efekt:

Komputer pyta internetowy DNS:

gdzie jest firma.local?

Odpowiedź:

nie wiem.

Problemy:

• brak logowania,
• brak GPO,
• wolne uruchamianie systemu.

Zalecana konfiguracja DNS w Active Directory

Typowe środowisko:

Kontroler domeny

DNS:

127.0.0.1

lub drugi kontroler domeny.

Komputer domenowy

DNS:

adres kontrolera domeny

Nie:

Google DNS
Cloudflare DNS

Forwardery DNS

Lokalny DNS musi znać również internet.

Do tego służą:

Forwarders

Przykład:

Zapytanie:

google.com

nie jest obsługiwane lokalnie.

DNS domenowy przekazuje je do:

• operatora,
• publicznego DNS,
• firmowego resolvera.

DNS i replikacja Active Directory

W środowisku wielokontrolerowym DNS musi działać poprawnie między serwerami.

Przykład:

Firma posiada:

DC01
DC02
DC03

Zmiana rekordu:

newserver.firma.local

musi być dostępna na wszystkich kontrolerach.

Active Directory replikuje te informacje zgodnie z konfiguracją partycji DNS.

Diagnostyka DNS w Active Directory

Podstawowe narzędzia administratora:

nslookup

Sprawdzanie rekordów:

nslookup

Przykład:

nslookup -type=SRV _ldap._tcp.dc._msdcs.firma.local

dcdiag

Jedno z najważniejszych narzędzi AD:

dcdiag /test:dns

Sprawdza:

• rekordy DNS,
• konfigurację kontrolera,
• problemy z replikacją.

ipconfig

Rejestracja DNS:

ipconfig /registerdns

Czyszczenie cache:

ipconfig /flushdns

nltest

Sprawdzanie lokalizacji DC:

nltest /dsgetdc:firma.local

Najczęstsze błędy DNS w Active Directory

Ustawienie DNS na routerze

Bardzo częsty problem.

Komputer domenowy powinien korzystać z DNS AD.

Brak rekordów SRV

Objawy:

• problemy z logowaniem,
• błędy Kerberos.

Duplikaty rekordów

Może powodować:

• losowe problemy z dostępem,
• błędną lokalizację usług.

Niepoprawna synchronizacja czasu

Kerberos wymaga zgodnego czasu.

DNS + czas są jednymi z pierwszych rzeczy sprawdzanych podczas problemów AD.

DNS jako element bezpieczeństwa Active Directory

DNS jest również wykorzystywany podczas ataków.

Przykłady:

• DNS spoofing,
• zatrucie cache,
• przejęcie rekordów,
• nieautoryzowane aktualizacje.

Dlatego warto stosować:

• Secure Dynamic Updates,
• ograniczenie dostępu administracyjnego,
• monitoring zmian rekordów,
• audyt DNS.

Podsumowanie

DNS w Active Directory nie jest tylko książką telefoniczną dla komputerów.

Jest mechanizmem lokalizacji usług, który umożliwia działanie:

• logowania domenowego,
• Kerberos,
• LDAP,
• Group Policy,
• replikacji Active Directory.

Najważniejsza zasada administratora Windows Server:

Jeżeli Active Directory nie działa poprawnie, pierwszym miejscem do sprawdzenia powinien być DNS.

Dobrze zaprojektowany DNS sprawia, że domena działa stabilnie. Źle skonfigurowany DNS potrafi spowodować awarię całego środowiska, mimo że same kontrolery domeny są sprawne.

Polecane wpisy

FAQ: Najczęściej zadawane pytania na temat Windows Server (Część 3)

FAQ: Najczęściej zadawane pytania na temat Windows Server (Część 3) Windows Server to zaawansowane oprogramowanie serwerowe, które oferuje szereg funkcji Czytaj dalej

Windows Admin Center: Nieznane funkcje i triki do efektywnego zarządzania serwerami – Kompleksowy przewodnik ekspercki

Windows Admin Center: Nieznane funkcje i triki do efektywnego zarządzania serwerami – Kompleksowy przewodnik ekspercki 🌐 Wprowadzenie W świecie nowoczesnego Czytaj dalej